中间件注册时机错、未中断执行、传参错误、作用域漏配是四大根因：BeforeActivation中Use()无效；ctx.JSON()后须调ctx.StopExecution()；Use()传函数值而非调用结果；app.Use()不覆盖Party子组。
中间件注册时机错：BeforeActivation里调Use()无效
Party()返回的子路由器在BeforeActivation钩子中尚未激活，此时调用Use()不会挂载到最终生效的中间件链上。现象是路由能访问，但中间件日志不打印、鉴权不触发、日志没记录。
正确做法是在BeforeActivation内部先完成所有.Get()、.Post()等路由注册，再对同一Party实例调用Use()；且该Use()必须在app.Listen()或app.Run()之前执行。
- 错误写法：
admin := app.Party("/admin"); admin.Use(authMiddleware); admin.Get("/users", handler)——Use()在注册前调，无效 - 正确写法：
admin := app.Party("/admin"); admin.Get("/users", handler); admin.Use(authMiddleware) - 若嵌套子组（如
v1 := admin.Party("/v1")），需显式对v1.Use()，父组中间件不会自动继承
中间件未中断执行：ctx.JSON()后忘了ctx.StopExecution()
Iris 的ctx.Next()不检查响应是否已写出，也不自动终止后续逻辑。鉴权失败后只写ctx.JSON(401, ...)，却不调ctx.StopExecution()，业务 handler 仍会执行，可能造成数据误删或重复日志。
- 必须在中间件中响应后立即调
ctx.StopExecution()，例如：ctx.JSON(401, "unauthorized"); ctx.StopExecution(); return - 别在
go func()里调ctx.Next()——它只在当前 goroutine 有效，跨协程调用会 panic - 调试时可在中间件开头加日志：
ctx.Application().Logger().Infof("mw running for %s", ctx.Path())，确认是否被触发
中间件传参错误：authMiddleware() vs authMiddleware
Party().Use()接收的是iris.Handler类型函数值，不是调用结果。常见错误是传入带括号的函数调用表达式，导致 panic 或静默失败。
- 错误写法：
admin.Use(authMiddleware())—— 如果authMiddleware()返回的是func(iris.Context)以外的类型（比如error或nil），会直接 panic - 正确写法：
admin.Use(authMiddleware)（不带括号），前提是authMiddleware本身是iris.Handler类型 - 若需参数化（如权限级别），用闭包工厂：
admin.Use(roleRequired("admin"))，其中roleRequired("admin")返回iris.Handler - 函数签名必须严格匹配：
func(ctx iris.Context)，不能多参数、不能少参数、不能返回值
中间件作用域漏配：app.Use()不覆盖Party子组
Iris 没有“全局拦截器”概念。app.Use()只影响直接注册在app上的路由，对任何Party()创建的子组默认不生效。这是生产环境最常被忽略的安全盲点。
- 典型漏配：
app.Use(commonLogger); v1 := app.Party("/api/v1"); v1.Get("/users", handler)→/api/v1/users不打日志 - 修复方式：显式补全
v1.Use(commonLogger)，或改用app.Party("/api/v1").Use(...).Get(...)链式写法 - 若中间件需作用于全部路由（含健康检查等免验签路径），应在中间件内部用
ctx.Path()和ctx.Method()白名单跳过，而不是依赖注册位置
BeforeActivation不是运行时钩子，而是路由编译前的结构定义阶段——在这里做Use()，就像给图纸贴胶带，图还没印出来。 
